Tudnivalók az Apple biztonsági frissítéseiről
Vásárlói védelme érdekében az Apple nem hoz nyilvánosságra, tárgyal, illetve erősít meg biztonsági problémákat addig, amíg le nem zajlott a probléma kivizsgálása, és el nem érhetők a szükséges javítások vagy szoftverkiadások. A legújabb szoftverkiadások listája az Apple biztonsági frissítéseivel foglalkozó oldalon található.
Ahol csak lehetséges, az Apple a CVE-azonosítójuk alapján hivatkozik a biztonsági résekre.
A biztonsági kérdésekről az Apple termékbiztonsági oldalán olvashat bővebben.
macOS Sonoma 14.5
Kiadás dátuma: 2024. május 13.
AppleAVD
A következőhöz érhető el: macOS Sonoma.
Érintett terület: Egyes alkalmazások bizonyos esetekben váratlan rendszerleállást tudtak előidézni.
Leírás: Hatékonyabb memóriakezeléssel elhárítottuk a problémát.
CVE-2024-27804: Meysam Firouzi (@R00tkitSMM)
Bejegyzés frissítve: 2024. május 15.
AppleMobileFileIntegrity
A következőhöz érhető el: macOS Sonoma.
Érintett terület: Előfordult, hogy a helyi támadók hozzá tudtak férni a kulcskarikán tárolt elemekhez.
Leírás: További kódaláírási korlátozásokkal elhárítottunk egy alacsonyabb szintre váltással kapcsolatos hibát.
CVE-2024-27837: Mickey Jin (@patch1t) és ajajfxhj
AppleMobileFileIntegrity
A következőhöz érhető el: macOS Sonoma.
Érintett terület: A támadók bizonyos esetekben hozzáférést tudtak szerezni a felhasználói adatokhoz.
Leírás: Hatékonyabb ellenőrzésekkel elhárítottunk egy logikai hibát.
CVE-2024-27816: Mickey Jin (@patch1t)
AppleMobileFileIntegrity
A következőhöz érhető el: macOS Sonoma.
Érintett terület: Egy alkalmazás potenciálisan meg tudott kerülni bizonyos adatvédelmi beállításokat
Leírás: Az Intel-alapú Mac számítógépeket érintő leminősítési probléma további kódaláírási korlátozásokkal lett kezelve.
CVE-2024-27825: Kirin (@Pwnrin)
AppleVA
A következőhöz érhető el: macOS Sonoma.
Érintett terület: A fájlok feldolgozása váratlan appleállást idézhetett elő, illetve tetszőleges programkód végrehajtására adhatott lehetőséget.
Leírás: Hatékonyabb memóriakezeléssel elhárítottuk a problémát.
CVE-2024-27829: Amir Bazine és Karsten König (CrowdStrike Counter Adversary Operations) és Pwn2car a Trend Micro Zero Day Initiative keretében
AVEVideoEncoder
A következőhöz érhető el: macOS Sonoma.
Érintett terület: Egyes alkalmazások képesek voltak felfedni a kernelmemóriát
Leírás: Hatékonyabb memóriakezeléssel elhárítottuk a problémát.
CVE-2024-27841: anonim kutató
CFNetwork
A következőhöz érhető el: macOS Sonoma.
Érintett terület: Egyes alkalmazások képesek voltak eltérő fájlokat is olvasni
Leírás: A helyességgel kapcsolatos problémát az ellenőrzések továbbfejlesztésével oldottuk meg.
CVE-2024-23236: Ron Masas (Imperva)
Core Data
A következőhöz érhető el: macOS Sonoma.
Érintett terület: Egyes alkalmazások képesek voltak bizalmas felhasználói adatokhoz hozzáférni.
Leírás: A környezeti változók validálásának továbbfejlesztésével megoldottuk a problémát.
CVE-2024-27805: Kirin (@Pwnrin) és 小来来 (@Smi1eSEC)
Bejegyzés hozzáadva: 2024. június 10.
CoreMedia
A következőhöz érhető el: macOS Sonoma.
Érintett terület: Az alkalmazások tetszőleges programkódot tudtak végrehajtani kernelszintű jogosultsággal
Leírás: Hatékonyabb ellenőrzésekkel küszöböltük ki a problémát.
CVE-2024-27817: pattern-f (@pattern_F_) (Ant Security Light-Year Lab)
Bejegyzés hozzáadva: 2024. június 10.
CoreMedia
A következőhöz érhető el: macOS Sonoma.
Érintett terület: A fájlok feldolgozása váratlan appleállást idézhetett elő, illetve tetszőleges programkód végrehajtására adhatott lehetőséget.
Leírás: Hatékonyabb bevitel-ellenőrzéssel elhárítottunk egy határértéken kívüli írási hibát.
CVE-2024-27831: Amir Bazine és Karsten König (CrowdStrike Counter Adversary Operations)
Bejegyzés hozzáadva: 2024. június 10.
Disk Images
A következőhöz érhető el: macOS Sonoma.
Érintett terület: Egyes alkalmazások magasabb szintű jogosultságokat tudtak szerezni
Leírás: Hatékonyabb ellenőrzésekkel küszöböltük ki a problémát.
CVE-2024-27832: anonim kutató
Bejegyzés hozzáadva: 2024. június 10.
Finder
A következőhöz érhető el: macOS Sonoma.
Érintett terület: Egyes alkalmazások képesek voltak eltérő fájlokat is olvasni
Leírás: Hatékonyabb állapotkezeléssel küszöböltük ki a problémát.
CVE-2024-27827: anonim kutató
Foundation
A következőhöz érhető el: macOS Sonoma.
Érintett terület: Egyes alkalmazások magasabb szintű jogosultságokat tudtak szerezni
Leírás: Hatékonyabb ellenőrzésekkel küszöböltük ki a problémát.
CVE-2024-27801: CertiK SkyFall Team
Bejegyzés hozzáadva: 2024. június 10.
ImageIO
A következőhöz érhető el: macOS Sonoma.
Érintett terület: Az ártó szándékkal létrehozott képek feldolgozásakor tetszőleges programkód végrehajtására nyílhatott lehetőség.
Leírás: Hatékonyabb ellenőrzésekkel küszöböltük ki a problémát.
CVE-2024-27836: Junsung Lee (a Trend Micro Zero Day Initiative közreműködőjeként)
Bejegyzés hozzáadva: 2024. június 10.
IOHIDFamily
A következőhöz érhető el: macOS Sonoma.
Érintett terület: Előfordulhatott, hogy egy magasabb szintű jogosultságokkal nem rendelkező alkalmazás rögzíteni tudta a billentyűleütéseket más alkalmazásokban, köztük a biztonságos beviteli módot használókban is.
Leírás: További jogosultság-ellenőrzésekkel hárítottuk el a problémát.
CVE-2024-27799: anonim kutató
Bejegyzés hozzáadva: 2024. június 10.
Kernel
A következőhöz érhető el: macOS Sonoma.
Érintett terület: A támadók váratlan alkalmazásleállást tudtak előidézni vagy tetszőleges programkódot tudtak végrehajtani.
Leírás: Hatékonyabb memóriakezeléssel elhárítottuk a problémát.
CVE-2024-27818: pattern-f (@pattern_F_) (Ant Security Light-Year Lab)
Kernel
A következőhöz érhető el: macOS Sonoma.
Érintett terület: Az alkalmazások tetszőleges programkódot tudtak végrehajtani kernelszintű jogosultsággal
Leírás: Hatékonyabb bevitel-ellenőrzéssel elhárítottunk egy határértéken kívüli írási hibát.
CVE-2024-27815: egy anonim kutató és Joseph Ravichandran (@0xjprx, MIT CSAIL)
Bejegyzés hozzáadva: 2024. június 10.
libiconv
A következőhöz érhető el: macOS Sonoma.
Érintett terület: Egyes alkalmazások magasabb szintű jogosultságokat tudtak szerezni
Leírás: Hatékonyabb ellenőrzésekkel küszöböltük ki a problémát.
CVE-2024-27811: Nick Wellnhofer
Bejegyzés hozzáadva: 2024. június 10.
Libsystem
A következőhöz érhető el: macOS Sonoma.
Érintett terület: Egyes alkalmazások képesek voltak védett felhasználói adatokhoz hozzáférni.
Leírás: Elhárítottunk egy engedélyekkel kapcsolatos hibát a sebezhető kód eltávolításával és további ellenőrzések hozzáadásával.
CVE-2023-42893: anonim kutató
A következőhöz érhető el: macOS Sonoma.
Érintett terület: A fizikai hozzáféréssel rendelkező támadók bizonyos esetekben kiszivárogtathatták a Mail-fiók hitelesítő adatait.
Leírás: Hatékonyabb állapotkezeléssel elhárítottunk egy hitelesítéssel kapcsolatos problémát.
CVE-2024-23251: Gil Pedersen
Bejegyzés hozzáadva: 2024. június 10.
A következőhöz érhető el: macOS Sonoma.
Érintett terület: A rosszindulatú célból létrehozott e-mailek bizonyos esetekben a felhasználó hozzájárulása nélkül indíthattak FaceTime-hívásokat.
Leírás: Hatékonyabb ellenőrzésekkel küszöböltük ki a problémát.
CVE-2024-23282: Dohyun Lee (@l33d0hyun)
Bejegyzés hozzáadva: 2024. június 10.
Maps
A következőhöz érhető el: macOS Sonoma.
Érintett terület: Az appok be tudtak olvasni bizalmas jellegű helyadatokat.
Leírás: Hatékonyabb ellenőrzéssel elhárítottunk egy útvonalkezelési hibát.
CVE-2024-27810: LFY@secsys (Fudan University)
Messages
A következőhöz érhető el: macOS Sonoma.
Érintett terület: Egy rosszindulatú célból létrehozott feldolgozása szolgáltatásmegtagadáshoz vezethetett.
Leírás: A veszélynek kitett kód eltávolításával hárítottuk el a problémát.
CVE-2024-27800: Daniel Zajork és Joshua Zajork
Bejegyzés hozzáadva: 2024. június 10.
Metal
A következőhöz érhető el: macOS Sonoma.
Érintett terület: Az ártó szándékkal létrehozott fájlok feldolgozása váratlan appleállást idézhetett elő, illetve tetszőleges programkód végrehajtására adhatott lehetőséget.
Leírás: Hatékonyabb bevitel-ellenőrzéssel elhárítottunk egy határértéken kívüli olvasási hibát.
CVE-2024-27802: Meysam Firouzi (@R00tkitsmm, a Trend Micro Zero Day Initiative közreműködőjeként)
Bejegyzés hozzáadva: 2024. június 10.
Metal
A következőhöz érhető el: macOS Sonoma.
Érintett terület: A távoli támadók váratlan appleállást tudtak előidézni, illetve tetszőleges programkódot tudtak végrehajtani.
Leírás: Hatékonyabb határérték-ellenőrzéssel kiküszöböltünk egy határértéken kívüli hozzáférési hibát.
CVE-2024-27857: Michael DePlante (@izobashi, Trend Micro Zero Day Initiative)
Bejegyzés hozzáadva: 2024. június 10.
PackageKit
A következőhöz érhető el: macOS Sonoma.
Érintett terület: Egyes alkalmazások gyökérszintű jogosultságot tudtak szerezni
Leírás: Hatékonyabb korlátozásokkal hárítottunk el egy logikai hibát.
CVE-2024-27822: Scott Johnson, Mykola Grymalyuk (RIPEDA Consulting), Jordy Witteman és Carlos Polop
PackageKit
A következőhöz érhető el: macOS Sonoma.
Érintett terület: Egyes alkalmazások magasabb szintű jogosultságokat tudtak szerezni
Leírás: A veszélynek kitett kód eltávolításával hárítottuk el a problémát.
CVE-2024-27824: Pedro Tôrres (@t0rr3sp3dr0)
PackageKit
A következőhöz érhető el: macOS Sonoma.
Érintett terület: Az alkalmazások képesek voltak módosítani a fájlrendszer védett elemeit
Leírás: A szimbolikus hivatkozások hatékonyabb hitelesítésével hárítottuk el a problémát.
CVE-2024-27885: Mickey Jin (@patch1t)
Bejegyzés hozzáadva: 2024. június 10.
PrintCenter
A következőhöz érhető el: macOS Sonoma.
Érintett terület: Egy alkalmazás bizonyos esetekben tetszőleges kódot tudott végrehajtani a tesztkörnyezetén kívül vagy bizonyos magasabb jogosultsági szint mellett.
Leírás: Hatékonyabb ellenőrzésekkel küszöböltük ki a problémát.
CVE-2024-27813: anonim kutató
PrintCenter
A következőhöz érhető el: macOS Sonoma.
Érintett terület: Egy alkalmazás bizonyos esetekben tetszőleges kódot tudott végrehajtani a tesztkörnyezetén kívül vagy bizonyos magasabb jogosultsági szint mellett.
Leírás: Hatékonyabb ellenőrzésekkel küszöböltük ki a problémát.
CVE-2024-27813: anonim kutató
Bejegyzés hozzáadva: 2024. június 10.
RemoteViewServices
A következőhöz érhető el: macOS Sonoma.
Érintett terület: A támadók bizonyos esetekben hozzáférést tudtak szerezni a felhasználói adatokhoz.
Leírás: Hatékonyabb ellenőrzésekkel elhárítottunk egy logikai hibát.
CVE-2024-27816: Mickey Jin (@patch1t)
RemoteViewServices
A következőhöz érhető el: macOS Sonoma.
Érintett terület: A támadók bizonyos esetekben hozzáférést tudtak szerezni a felhasználói adatokhoz.
Leírás: Hatékonyabb ellenőrzésekkel elhárítottunk egy logikai hibát.
CVE-2024-27816: Mickey Jin (@patch1t)
Bejegyzés hozzáadva: 2024. június 10.
Safari
A következőhöz érhető el: macOS Sonoma.
Érintett terület: A weboldal által megjelenített hozzájárulási párbeszédpanel bizonyos esetekben a továbbnavigálás után is megmaradt.
Leírás: Hatékonyabb ellenőrzésekkel küszöböltük ki a problémát.
CVE-2024-27844: Narendra Bhati (Suma Soft Pvt. Ltd, Pune (India), Shaheen Fazim
Bejegyzés hozzáadva: 2024. június 10.
SharedFileList
A következőhöz érhető el: macOS Sonoma.
Érintett terület: Egyes alkalmazások magasabb szintű jogosultságokat tudtak szerezni
Leírás: Hatékonyabb ellenőrzésekkel elhárítottunk egy logikai hibát.
CVE-2024-27843: Mickey Jin (@patch1t)
Shortcuts
A következőhöz érhető el: macOS Sonoma.
Érintett terület: Bizonyos esetekben a parancsok bizalmas adatokat jelenítettek meg a felhasználó hozzájárulása nélkül.
Leírás: Hatékonyabb ellenőrzéssel elhárítottunk egy útvonalkezelési hibát.
CVE-2024-27821: Kirin (@Pwnrin), zbleet és Fitzl Csaba (@theevilbit) (Kandji)
Shortcuts
A következőhöz érhető el: macOS Sonoma.
Érintett terület: Bizonyos esetekben a parancsok bizonyos műveletek során bizalmas adatokat tudtak felhasználni anélkül, hogy erről megkérdezték volna a felhasználót.
Leírás: Hatékonyabb ellenőrzésekkel küszöböltük ki a problémát.
CVE-2024-27855: anonim kutató
Bejegyzés hozzáadva: 2024. június 10.
Spotlight
A következőhöz érhető el: macOS Sonoma.
Érintett terület: Egyes alkalmazások képesek voltak bizalmas felhasználói adatokhoz hozzáférni.
Leírás: A környezeti tisztítás továbbfejlesztésével elhárítottuk a problémát.
CVE-2024-27806
Bejegyzés hozzáadva: 2024. június 10.
StorageKit
A következőhöz érhető el: macOS Sonoma.
Érintett terület: A támadók bizonyos esetekben magasabb szintű jogosultságokat tudtak szerezni.
Leírás: Hatékonyabb állapotkezeléssel elhárítottunk egy engedélyekkel kapcsolatos problémát.
CVE-2024-27798: Yann GASCUEL (Alter Solutions)
StorageKit
A következőhöz érhető el: macOS Sonoma.
Érintett terület: A rosszindulatú appok gyökérszintű jogosultságokat tudtak szerezni.
Leírás: A jogosultságok ellenőrzésének továbbfejlesztésével elhárítottuk a problémát.
CVE-2024-27848: Fitzl Csaba (@theevilbit, Kandji)
Bejegyzés hozzáadva: 2024. június 10.
Sync Services
A következőhöz érhető el: macOS Sonoma.
Érintett terület: Egyes alkalmazások meg tudták kerülni az adatvédelmi beállításokat
Leírás: Hatékonyabb ellenőrzésekkel hárítottuk el a problémát
CVE-2024-27847: Mickey Jin (@patch1t)
udf
A következőhöz érhető el: macOS Sonoma.
Érintett terület: Az alkalmazások tetszőleges programkódot tudtak végrehajtani kernelszintű jogosultsággal
Leírás: Hatékonyabb ellenőrzésekkel küszöböltük ki a problémát.
CVE-2024-27842: CertiK SkyFall Team
Voice Control
A következőhöz érhető el: macOS Sonoma.
Érintett terület: A támadók bizonyos esetekben magasabb szintű jogosultságokat tudtak szerezni.
Leírás: Hatékonyabb ellenőrzésekkel küszöböltük ki a problémát.
CVE-2024-27796: ajajfxhj
WebKit
A következőhöz érhető el: macOS Sonoma.
Érintett terület: Az olvasási és írási képességekkel rendelkező támadók bizonyos esetekben meg tudták kerülni a Mutatóhitelesítést
Leírás: Hatékonyabb ellenőrzésekkel küszöböltük ki a problémát.
WebKit Bugzilla: 272750
CVE-2024-27834: Manfred Paul (@_manfp) a Trend Micro Zero Day Initiative kezdeményezés keretében
WebKit
A következőhöz érhető el: macOS Sonoma.
Érintett terület: Egy ártó szándékkal létrehozott weboldal képes volt rögzíteni a felhasználó ujjlenyomatát
Leírás: További logika hozzáadásával megoldottuk a problémát.
WebKit Bugzilla: 262337
CVE-2024-27838: Emilio Cobos (Mozilla)
Bejegyzés hozzáadva: 2024. június 10.
WebKit
A következőhöz érhető el: macOS Sonoma.
Érintett terület: Előfordult, hogy a webes tartalmak feldolgozásakor tetszőleges programkód végrehajtására került sor.
Leírás: Hatékonyabb memóriakezeléssel elhárítottuk a problémát.
WebKit Bugzilla: 268221
CVE-2024-27808: Lukas Bernhard (CISPA Helmholtz Center for Information Security)
Bejegyzés hozzáadva: 2024. június 10.
WebKit
A következőhöz érhető el: macOS Sonoma.
Érintett terület: Egy ártó szándékkal létrehozott weboldal képes volt rögzíteni a felhasználó ujjlenyomatát
Leírás: A zajbefecskendező algoritmus fejlesztésével megoldottuk a problémát.
WebKit Bugzilla: 270767
CVE-2024-27850: anonim kutató
Bejegyzés hozzáadva: 2024. június 10.
WebKit
A következőhöz érhető el: macOS Sonoma.
Érintett terület: Az ártó szándékkal létrehozott webes tartalmak feldolgozásakor tetszőleges programkód végrehajtására nyílhatott lehetőség.
Leírás: Hatékonyabb határérték-ellenőrzésekkel kiküszöböltük a problémát.
WebKit Bugzilla: 272106
CVE-2024-27851: Nan Wang (@eternalsakura13, 360 Vulnerability Research Institute)
Bejegyzés hozzáadva: 2024. június 10.
WebKit
A következőhöz érhető el: macOS Sonoma.
Érintett terület: A rosszindulatú támadók tetszőleges olvasási és írási képesség birtokában megkerülhették a Mutatóhitelesítést.
Leírás: Hatékonyabb ellenőrzésekkel küszöböltük ki a problémát.
WebKit Bugzilla: 272750
CVE-2024-27834: Manfred Paul (@_manfp) a Trend Micro Zero Day Initiative kezdeményezés keretében
Bejegyzés hozzáadva: 2024. június 10.
WebKit Canvas
A következőhöz érhető el: macOS Sonoma.
Érintett terület: Egy ártó szándékkal létrehozott weboldal képes volt rögzíteni a felhasználó ujjlenyomatát
Leírás: Hatékonyabb állapotkezeléssel küszöböltük ki a problémát.
WebKit Bugzilla: 271159
CVE-2024-27830: Joe Rutkowski (@Joe12387, Crawless) és @abrahamjuliot
Bejegyzés hozzáadva: 2024. június 10.
WebKit Web Inspector
A következőhöz érhető el: macOS Sonoma.
Érintett terület: Előfordult, hogy a webes tartalmak feldolgozásakor tetszőleges programkód végrehajtására került sor.
Leírás: Hatékonyabb memóriakezeléssel elhárítottuk a problémát.
WebKit Bugzilla: 270139
CVE-2024-27820: Jeff Johnson (underpassapp.com)
Bejegyzés hozzáadva: 2024. június 10.
További köszönetnyilvánítás
App Store
Köszönjük egy anonim kutató segítségét.
AppleMobileFileIntegrity
Köszönjük Mickey Jin (@patch1t) segítségét.
Bejegyzés hozzáadva: 2024. június 10.
CoreHAP
Köszönjük Adrian Cable segítségét.
Disk Images
Köszönjük Mickey Jin (@patch1t) segítségét.
Bejegyzés hozzáadva: 2024. június 10.
HearingCore
Köszönjük egy anonim kutató segítségét.
ImageIO
Köszönjük egy anonim kutató segítségét.
Bejegyzés hozzáadva: 2024. június 10.
Managed Configuration
Köszönjük 遥遥领先 (@晴天组织) segítségét.
Music
Köszönjük egy anonim kutató segítségét.
Safari Downloads
Szeretnénk megköszönni Arsenii Kostromin (0x3c3e) segítségét.
Transparency
Köszönjük Mickey Jin (@patch1t) segítségét.
Bejegyzés hozzáadva: 2024. június 10.